View a markdown version of this page

服務連結私有連線選項 - AWS Outposts
先決條件選項 1。透過私有 VIFsDirect Connect私有連線選項 2。透過Direct Connect傳輸 VIFs私有連線

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

服務連結私有連線選項

您可以使用私有連線為 Outposts 和主要AWS區域之間的流量設定服務連結。您可以選擇使用Direct Connect私有或傳輸 VIFs。

當您在AWS Outposts主控台中建立 Outpost 時，請選取私有連線選項。如需說明，請參閱建立 Outpost。

當您選取私有連線選項時，服務連結 VPN 連線會在安裝 Outpost 後使用您指定的 VPC 和子網路建立。這允許透過 VPC 進行私有連線，並將公有網際網路暴露降至最低。

下圖顯示在您的 Outposts 和 AWS區域之間建立服務連結 VPN 私有連線的兩個選項：

服務連結私有連線選項。

先決條件

您必須先符合下列先決條件，才能為 Outpost 設定私有連線：

  • 您必須設定 IAM 實體 (使用者或角色) 的許可，允許使用者或角色建立服務連結角色以進行私有連線。IAM 實體需要許可才能存取下列動作：

    • arn:aws:iam::*:role/aws-service-role/outposts.amazonaws.com/AWSServiceRoleForOutposts* 的 iam:CreateServiceLinkedRole

    • arn:aws:iam::*:role/aws-service-role/outposts.amazonaws.com/AWSServiceRoleForOutposts* 的 iam:PutRolePolicy

    • ec2:DescribeVpcs

    • ec2:DescribeSubnets

    如需詳細資訊，請參閱 AWS Identity and Access Managementfor AWS Outposts

  • 在與 Outpost 相同的AWS帳戶和可用區域中，建立 VPC，僅用於 Outpost 與子網路 /25 或更大的私有連線，而不會與 10.1.0.0/16 衝突。例如，您可以使用 10.3.0.0/16。

    重要

    請勿刪除此 VPC，因為它會維護與 Outpost 的連線。

  • 使用安全控制政策 (SCP) 保護此 VPC 免於遭到刪除。

    下列範例 SCP 可防止刪除下列項目：

    • 已標記 Outposts 錨點子網路的子網路

    • VPC 標記的 Outposts 錨點 VPC

    • 標記為 Outposts 錨點路由表的路由表

    • 標記為 Outposts Transit Gateway 的傳輸閘道

    • Virtual Private Gateway 標記的 Outposts Virtual Private Gateway

    • 標記為 Outposts Transit Gateway Route Table 的傳輸閘道路由表

    • 任何具有 Outposts Anchor ENI 標籤的 ENI

  • 設定連接到網路介面的安全群組，以允許下列傳入流量：

    • 來自您指定來源的 ICMP

    • 來自您指定來源的 TCP 連接埠 443

    • 來自您指定來源的 UDP 連接埠 443

    注意

    連接埠 443 上的 TCP 和 UDP 都需要私有連線才能正常運作。

  • 向您的內部部署網路公告子網路 CIDR。您可以使用 AWS Direct Connect來執行此操作。如需詳細資訊，請參閱《 指南》中的《Direct ConnectDirect Connect 虛擬介面》和《使用 Direct Connect 閘道》。

注意

若要在 Outpost 處於待定狀態時選取私有連線選項，請從AWS Outposts主控台選擇 Outpost，然後選取您的 Outpost。選擇 動作、新增私有連線，然後依照步驟進行。

在您為 Outpost 選取私有連線選項之後， 會在您的帳戶中AWS Outposts自動建立服務連結角色，讓它代表您完成下列任務：

  • 在您指定的子網路和 VPC 中建立網路介面，並為網路介面建立安全群組。

  • 准許AWS Outposts服務將網路介面連接到帳戶中的服務連結端點執行個體。

  • 將網路介面連接至帳戶中的服務連結端點執行個體。

重要

安裝 Outpost 之後，請確認可從 Outpost 連線到子網路中的私有 IP。

選項 1。透過私有 VIFsDirect Connect私有連線

建立AWS Direct Connect連線、私有虛擬介面和虛擬私有閘道，以允許內部部署 Outpost 存取 VPC。

如需詳細資訊，請參閱Direct Connect《 使用者指南》中的下列章節：

如果AWS Direct Connect連線位於與 VPC 不同的AWS帳戶中，請參閱Direct Connect《 使用者指南》中的跨帳戶建立虛擬私有閘道的關聯。

選項 2。透過Direct Connect傳輸 VIFs私有連線

建立AWS Direct Connect連線、傳輸虛擬介面和傳輸閘道，以允許內部部署 Outpost 存取 VPC。

如需詳細資訊，請參閱Direct Connect《 使用者指南》中的下列章節：